DDOS攻击和CC攻击分别是怎样的？

CC攻击是DDoS攻击的其中一种，DDoS攻击方式还有：ICMP Flood、UDP Flood、NTP Flood...

CC攻击是目前应用层攻击的主要手段之一，借助代理服务器生成指向目标系统的合法请求，实现伪装和DDoS。我们都有这样的体验，访问一个静态页面，即使人多也不需要太长时间，但如果在高峰期访问论坛、贴吧等，那就很慢了，因为服务器系统需要到数据库中判断访问者否有读帖、发言等权限。访问的人越多，论坛的页面越多，数据库压力就越大，被访问的频率也越高，占用的系统资源也就相当可观。

CC攻击就充分利用了这个特点，模拟多个正常用户不停地访问如论坛这些需要大量数据操作的页面，造成服务器资源的浪费，CPU长时间处于100%，永远都有处理不完的请求，网络拥塞，正常访问被中止。这种攻击技术性含量高，见不到真实源IP，见不到特别大的异常流量，但服务器就是无法进行正常连接。

之所以选择代理服务器是因为代理可以有效地隐藏自己的身份，也可以绕开防火墙，因为基本上所有的防火墙都会检测并发的TCP/IP连接数目，超过一定数目一定频率就会被认为是Connection-Flood。当然也可以使用肉鸡来发动CC攻击，攻击者使用CC攻击软件控制大量肉鸡发动攻击，肉鸡可以模拟正常用户访问网站的请求伪造成合法数据包，相比前者来说更难防御。

CC攻击是针对Web服务在第七层协议发起的攻击，在越上层协议上发动DDoS攻击越难以防御，上层协议与业务关联愈加紧密，防御系统面临的情况也会更复杂。比如CC攻击中最重要的方式之一HTTP Flood，不仅会直接导致被攻击的Web前端响应缓慢，对承载的业务造成致命的影响，还可能会引起连锁反应，间接攻击到后端的Java等业务层逻辑以及更后端的数据库服务。

由于CC攻击成本低、威力大，知道创宇安全专家组发现80%的DDoS攻击都是CC攻击。带宽资源严重被消耗，网站瘫痪；CPU、内存利用率飙升，主机瘫痪；瞬间快速打击，无法快速响应。

欢迎访问我们：

抗D保

知道创宇云安全

从互联网的兴起，互联网上就没有安宁的日子。近年来，互联网黑客最常用的手段DDoS攻击和CC攻击给许多企业造成了巨大的损失。

DDoS攻击全称Distributed Denial of Service，中文意思为“分布式拒绝服务”，就是利用大量合法的分布式服务器对目标发送请求，从而导致正常合法用户无法获得服务。通俗点讲就是利用网络节点资源如：IDC服务器、个人PC、手机、智能设备、打印机、摄像头等对目标发起大量攻击请求，从而导致服务器拥塞而无法对外提供正常服务，只能宣布game over。

DdoS的攻击方式有很多种，最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务的响应。单一的DoS攻击一般是采用一对一方式的，当攻击目标CPU速度低、内存小或者网络带宽小等等各项指标不高的性能，它的效果是明显的。随着计算机与网络技术的发展，计算机的处理能力迅速增长，内存大大增加，同时也出现了千兆级别的网络，这使得DoS攻击的困难程度加大了-目标对恶意攻击包的"消化能力"加强了不少。这时候分布式的拒绝服务攻击手段（DDoS）就应运而生了。DDoS就是利用更多的傀儡机（肉鸡）来发起进攻，以比从前更大的规模来进攻受害者

CC攻击是DDoS攻击的其中一种，是目前应用层攻击的主要手段之一，相比其它的DDOS攻击CC似乎更有技术含量一些。CC攻击借助代理服务器生成指向目标系统的合法请求，实现伪装和DDoS。我们都有这样的体验，访问一个静态页面，即使人多也不需要太长时间，但如果在高峰期访问论坛、贴吧等，那就很慢了，因为服务器系统需要到数据库中判断访问者否有读帖、发言等权限。访问的人越多，论坛的页面越多，数据库压力就越大，被访问的频率也越高，占用的系统资源也就相当可观。

CC攻击就充分利用了这个特点，模拟多个正常用户不停地访问如论坛这些需要大量数据操作的页面，造成服务器资源的浪费，CPU长时间处于100%，永远都有处理不完的请求，网络拥塞，正常访问被中止。这种攻击技术性含量高，见不到真实源IP，见不到特别大的异常流量，但服务器就是无法进行正常连接。

DDoS攻击覆盖众多行业

DDoS 攻击是难以防范的最常见网络攻击手段之一，据数据统计，2020年上半年，DDoS攻击方式发生了重大变化。与2019年同期相比，DDoS攻击数量增加了151%，主要集中在线上教育、医疗组织、支付服务和游戏行业、远程办公等。

医疗行业：3月中旬，美国卫生与公共服务部（HHS）网站和一个巴黎大型医院就曾受到DDoS攻击。对于美国卫生与公共服务部（HHS）网站，攻击者试图攻击瘫痪网站，目的是剥夺公民获取有关流行病以及应对措施的官方数据，同时利用社交网络、短信和电子邮件传播错误信息，但最终攻击失败，HHS网站仍继续运行。对于巴黎的大型医院，攻击者试图破坏医疗机构的基础设施，导致医院工作人员一段时间内无法使用程序和电子邮件服务，但是攻击者未能使整个组织瘫痪。

医疗保健组织包含敏感的患者信息和越来越多的易于利用的物联网设备。再加上疫情带来的额外压力，医院已成为网络犯罪分子最理想的目标之一。

教育行业：研究报告发现，与2019年同期相比，在2020年1月至2020年6月期间，影响教育资源的DDoS攻击数量至少增加了350％。全球各地的教育机构都遭受到不同层次的DDoS攻击。今年七月至八月期间，美国每周攻击次数由攻击次数从468次增加到了608次。；欧洲地区的学术研究机构平均每周经历的攻击次数从638次增加到了793次，平均增长了24%；亚洲地区也增加了3.5%。

目前很多教育机构的大部分业务都托管在线上平台，比如说在线课程和直播课程等等，频繁且大量的DDoS攻击导致课程下线，众多教育行业企业损失惨重。

如何防御DDoS攻击

不同于其他恶意篡改数据或劫持类攻击，DDoS简单粗暴，可以达到直接摧毁目标的目的。另外，相对其他攻击手段DDoS的技术要求和发动攻击的成本很低，只需要购买部分服务器权限或控制一批肉鸡即可，而且攻击响应速度很快，攻击效果可视。另一方面，DDoS具有攻击易防守难的特征，服务提供商为了保证正常客户的需求需要耗费大量的资源才能和攻击发起方进行对抗。这些特点使得DDoS成为黑客们手中的一把很好使的利剑，而且所向霹雳。

1、采用高性能的网络设备

首先需要保证路由器、交换机、硬件防火墙等网络设备的性能，当发生DDoS攻击的时候，用足够性能的机器、容量去承受攻击，充分利用网络设备保护网络资源是十分有效的应对策略。

2、保证服务器系统的安全

首先要确保服务器软件没有任何漏洞，防止攻击者入侵。确保服务器采用最新系统，并打上安全补丁。在服务器上删除未使用的服务，关闭未使用的端口。对于服务器上运行的网站，确保其打了最新的补丁，没有安全漏洞。

3、充足的网络带宽保证

网络带宽直接决定了能抗受攻击的能力，假若仅仅有10M带宽的话，无论采取什么措施都很难对抗现在的SYNFlood攻击，融合受到攻击的行业网站，可以提前考虑提升带宽。

4、定期检查

需要定期检查主要的网络节点，清查可能会出现的问题，对于新出现的漏洞及时处理。主要因为是骨干节点本身就具有很高的带宽，这是黑客们可以利用的好位置，所以说要加强这些主机是十分必要的。

5、使用蓝队云DDoS高防IP

DDOS攻击防护为已备案的域名或源站IP（包括非蓝队的弹性外网IP）提供DDOS攻击防护。当用户的域名或源站IP（包括非蓝队的弹性外网IP）在遭受大流量的DDOS攻击时，可以通过高防IP代理源站IP面向用户，隐藏源站IP，将攻击流量引流到高防IP，确保源站的稳定正常运行。如果你的网站有DDoS攻击烦恼，可以考虑使用蓝队云DDoS高防IP保护网站安全。高防IP – 蓝队云 (landui.com)

C与DDoS攻击的技术区别:我们经常说网站被攻击，其实也就是我们使用的服务器被攻击，比较常见的攻击模式有CC跟DDoS，这是两种比较常见的攻击方式。那有的用户可能就问了，什么是CC攻击，什么又是DDoS攻击，这两者攻击原理是什么，两者的区别又是什么？这个壹基比小喻来跟你分析下。

下边简单说说这两者的工作原理： CC攻击：CC的前世是一个攻击程序，叫做fatboy，这是黑客为了挑战绿盟的一款防DDoS设备开发的，它应该算是一个应用层的DDoS，是发生在TCP3次握手完成之后，它发送的ip其实都是真的。但是应用层的DDoS比网络层的DDoS更厉害，而且现在的大部分商业anti-DDOS设备，在防御网络层的DDoS的效果较好，应对应用层的DDoS攻击目前是还没有有效的手段。其实CC的攻击原理也比较简单，就是对一些那些比较耗费资源应用页面不停的发出请求，从而达到消耗资香港服务器资源的目的，在web应用中，查询数据库，读写硬盘文件的等操作都是比较消耗资源的。

DDoS攻击：DDoS的攻击原理是：利用网络过载进行干扰或是阻碍正常的网络通讯，然后向香港服务器申请大量的请求，导致香港服务器超负荷运行。从而达到，阻断正常数据请求，也就是阻碍正常访客对香港服务器发出的正常请求。几种比较常见的DDoS攻击有ICMP flood，SYN flood，UDP flood，而SYN flood又是最常见的攻击方式，它是利用TCP协议设计中得缺陷（3次握手）进行的，在它攻击的时候会制造很多的伪ip源地址，然后向香港服务器发送大量的SYN包，之后香港服务器会返回ACK/SYN包，但是IP是伪造的，所以香港服务器是不会受到应答的，会重试3-5次，并且等待一个SYN time（一般是39秒到2分钟），如果超时则丢弃这个连接。

攻击者发送大量的这种伪造源地址的SYN请求，服务端会消耗很多的资源（CPU和内存）来处理这种半连接，同时还要对这些请求进行SYN/ACK重试，最后的结果就是香港服务器无暇理睬正常的连接请求，导致拒绝服务。这就是DDoS的攻击原理。

这两者的主要区别在于：CC攻击模拟用户对一些比较消耗资源的网页进行攻击，而DDoS攻击则是针对ip进行攻击，两者的危害也是不一样的，DDoS的攻击会比CC攻击更难防御，造的危害会更大，如果是一般的香港服务器一旦被攻击，是很容易**的，所以如果你的香港服务器经常被攻击的话，那就需要选择具有防御的高防服务器。

分布式拒绝服务(DDoS:Distributed Denial of Service)攻击指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DDoS攻击，从而成倍地提高拒绝服务攻击的威力。

DDoS攻击通过大量合法的请求占用大量网络资源，以达到瘫痪网络的目的。 这种攻击方式可分为以下几种:

IP Spoofing

IP欺骗攻击是一种黑客通过向服务端发送虚假的包以欺骗服务器的

具体说，就是将包中的源IP地址设置为不存在或不合法的值。服务器一旦接受到该包便会返回接受请求包，但实际上这个包永远返回不到来源处的计算机。这种做法使服务器必需开启自己的监听端口不断等待，也就浪费了系统各方面的资源。

LAND attack

这种攻击方式与SYN floods类似，不过在LAND attack攻击包中的原地址和目标地址都是攻击对象的IP。这种攻击会导致被攻击的机器死循环，最终耗尽资源而死机。

ICMP floods

ICMPfloods是通过向未良好设置的路由器发送广播信息占用系统资源的做法。

Application

与前面叙说的攻击方式不同，Application level floods主要是针对应用软件层的，也就是高于OSI的。它同样是以大量消耗系统资源为目的，通过向IIS这样的网络服务程序提出无节制的资源申请来迫害正常的网络服务。

CC攻击是DDOS(分布式拒绝服务)的一种，相比其它的DDOS攻击CC似乎更有技术含量一些。这种攻击你见不到真实源IP，见不到特别大的异常流量，但造成服务器无法进行正常连接。最让站长们忧虑的是这种攻击技术含量低，利用更换IP代理工具和一些IP代理一个初、中级的电脑水平的用户就能够实施攻击。

CC主要是用来攻击页面的。大家都有这样的经历，就是在访问论坛时，如果这个论坛比较大，访问的人比较多，打开页面的速度会比较慢，访问的人越多，论坛的页面越多，数据库压力就越大，被访问的频率也越高，占用的系统资源也就相当可观。

应对办法：

1、购买蓝队云高防IP

· DDOS防御

基于先进特征识别算法进行精确清洗，帮助您抵御Syn、Flood、ICMP flood等各种DDOS大流量攻击。购买蓝队高防IP后，您只需在DNS服务商处，将网站解析记录cname为蓝队高防IP分配的安全域名，将您网站的流量引流至蓝队高防IP系统，即可开始享受高防服务。

· CC防御

蓝队CC防御，通过防护模式识别、身份识别等多重手段，精确识别恶意访问者，采用重认证、验证码、访问控制等手段精准打击，帮助您抵御http get等各类应用层攻击。蓝队高防IP防护系统后，您可在域名管理页面中，为需要该功能的域名开始CC防御。

2、购买高防服务器

蓝队云按全额高防服务器能提供10gbps-500Gpbs的DDOS防护服务，通过划分独立的链路和DMZ，集群防御能力，降低DDOS防御成本，为用户提供极具性价比的DDOS防御服务。

3、购买高防CDN服务

DDOS防御：无论攻击的大小，类型或攻击持续时间长短，都会为您在高防节点边缘抵挡任何DDOS攻击，并且没有上限。

CC防御：具备大数据智能业务高防防御能力，独家零误伤防CC策略，可智能高效的过滤垃圾访问，有效抵御CC防御。

欢迎打开网站查看详情

蓝队云 - 领先的云服务器、服务器租用托管、域名注册提供商

DDoS

全称：分布式拒绝服务(DDoS:DistributedDenialofService)该攻击方式充分利用目标系统网络服务作用缺陷或是直接损耗其服务器资源，促使该目标系统软件没法提供正常的的服务。

拒绝服务攻击问题始终无法得到有效的解决，现阶段还是世界性难点，归根结底是由于这是是因为网络协议本身的安全缺陷产生的。

DDoS进攻打的是站点的服务器，而CC进攻是对于站点的页面进攻的。

CC

全称：ChallengeCollapsar，中文意思是挑战黑洞，是因为以前的抵挡DDoS进攻的安全防护设备叫黑洞，顾名思义挑战黑洞就是说黑洞拿这类进攻没有办法，全新一代的抗DDoS机器设备早已更名为ADS(Anti-DDoSSystem)，通常早已可以很好的防御CC进攻了。

CC进攻的工作原理是使用服务器代理或是大批量肉鸡模拟多个客户浏览目标网站的动态网页页面，制造大批量的后台数据库查询动作，损耗目标CPU资源，产生拒绝服务。

CC并不像DDOS可以用硬件防火墙过滤，CC进攻本身便是正常的请求。推荐中小型企业站点选用静态网页的方法，降低了对数据库查询的信息交互，CPU损耗少。

以上研究可以看得出，ddos攻击和cc攻击差别主要是对于目标的不一样。DDoS是主要是对于IP地址的进攻，而CC进攻的主要是网页页面。CC进攻相对而言，进攻的伤害并不是毁灭性的，可是持续时间长；而ddos攻击便是流量攻击，这类进攻的危害性比较大，使用向目标服务器发送大批量数据文件，消耗殆尽其带宽，更难防御。

在掌握ddos攻击和cc攻击的差别和工作原理以后，剩余的便是防御了。要明白站点被攻击无处不在，可是我们平时可以做一些防护措施来防止网站攻击，或是降低网站攻击产生的伤害。假如站点经营规模并不大，本身防御力十分弱，又没有过多的资金投入，那么选择http://ddos.cc这样的高防御服务器便是最合适的选择。

天上云-专业的IDC服务商,云服务器,VPS,虚拟主机,VPS服务商,中国香港VPS,美国VPS,高防VPS,CN2云服务器|香港CN2独立服务器|专注于香港服务器、美国服务器等云服务器​www.tsyvps.com/

对于绝大多数的朋友而言，对于CC攻击都是很陌生的，只知道它是一种网络攻击方式，并不知道它是怎么完成攻击的。那么到底CC攻击是什么?如何防止网站被CC攻击呢?

CC攻击是DDOS（分布式拒绝服务）的一种形式，也是近年来一种常见的网站攻击形式，其攻击原理是通过代理服务器或者肉鸡向受害主机不停地发大量数据包，造成对方服务器资源耗尽，直到对方服务器宕机崩溃。不可否认，CC攻击会造成很大的影响，使真正的用户访问不了或者访问很慢，导致大批量用户流失，网站流量骤降，给企业造成巨大的损失。

什么是DDOS呢？

举个形象的例子你就明白了：

某饭店可以容纳100人同时就餐，某日有个商家恶意竞争，雇佣了200人来这个饭店坐着不吃不喝，导致饭店满满当当无法正常营业。（DDOS攻击成功）老板当即大怒，派人把不吃不喝影响正常营业的人全都轰了出去，且不再让他们进来捣乱，饭店恢复了正常营业。（添加规则和黑名单进行DDOS防御，防御成功）主动攻击的商家心存不满，这次请了五千人逐批次来捣乱，导致该饭店再次无法正常营业。（增加DDOS流量，改变攻击方式）饭店把那些捣乱的人轰出去只后，另一批接踵而来。此时老板将饭店营业规模扩大，该饭店可同时容纳1万人就餐，5000人同时来捣乱饭店营业也不会受到影响。（增加硬防与其抗衡）

DDOS是Distributed Denial of Service的缩写，翻译成中文是“分布式拒绝服务“攻击，网络中的DDOS攻击与防御与上面例子所述差不多，DDOS只不过是一个概称，其下有各种攻击方式，比如“CC攻击、SYN攻击、NTP攻击、TCP攻击、DNS攻击等等”，现在DDOS发展变得越来越可怕，NTP攻击渐渐成为主流了，这意味着可以将每秒的攻击流量放大几百倍，比如每秒1G的SYN碎片攻击换成NTP放大攻击，就成为了200G或者更多。

最近有一位客户遇到一件很棘手的事情，就是APP被人连续攻击，一开始客户用我们的高防IP，1600元一个月的，之前一直防御好好的，结果这几天连续的特殊CC攻击，导致技术需要频繁更换防御策略，而且有些策略一但上了后，误杀非常严重，搞得这边挺难受的，客户中途也换到了知道创宇的加速乐上，结果加速乐搞了一晚也没解决，导致APP关了一晚，第二天早上客户重新找到我们，而后小蚁网络建议换成专门立体子防御CC的系统。

在试用了三天后，果然完美解决CC问题，不仅防御住了，而且几乎没误杀，客户也安心的续了一个月费用。小蚁网络也以为事情就这样结束了，结果对方居然不死心，眼见CC打不到了，就换成DDoS攻击，简单粗暴，当然成本相对于CC来说，肯定高很多的，在连续连续攻击几次峰值高达 160G后，果然机房把这边的防御节点封了，理由上超过这个IP的峰值限制了。

小蚁网络建议客户升级防御峰值，目前的套餐60G峰值，明显防不了这么大的攻击。升级200G，价格有些贵，客户一直在考虑，没有升级，期间由于没攻击了，机房IP也解除了限制，客户重新接入后，到了第二天下午，对方又来攻击了，峰值达120G，这下又封了。

这下客户急了，硬刚，直接升级200G，一个月5800的！升级后机房直接给客户了个高防节点，客户APP马上恢复了，这下终于抗住了，我们来看第二天的攻击流量，一度达超过130G，逼近150G。还好客户升级了200G的。

也许是觉得DDoS不行了，对方又换成CC攻击，QPS达8211，不过还是被我们拦截住了。

目前已经在对方的猛烈攻击下，正常运行了一天了，不知道对方还有什么招，希望对方放弃吧，毕竟一直耗着大家都亏钱…

因为自己也维护一个网站，有时也受到一些攻击。先自己学习一下，顺便做一下笔记：

一、DDoS攻击

DDoS攻击就是分布式的拒绝服务攻击，DDoS攻击手段是在传统的DoS攻击基础之上产生的一类攻击方式。单一的DoS攻击一般是采用一对一方式的，随着计算机与网络技术的发展，DoS攻击的困难程度加大了。于是就产生了DDoS攻击，它的原理就很简单：计算机与网络的处理能力加大了10倍，用一台攻击机来攻击不再能起作用，那么DDoS就是利用更多的傀儡机来发起进攻，以比从前更大的规模来进攻受害者。

DDOS攻击不仅能攻击计算机，还能攻击路由器，因为路由器是一台特殊类型的计算机

二、Cc攻击

CC = Challenge Collapsar，意为“挑战黑洞”，其前身名为Fatboy攻击，是利用不断对网站发送连接请求致使形成拒绝服务的目的。业界之所以把这种攻击称为CC(Challenge Collapsar)，是因为在DDOS攻击发展前期，绝大部分的DDOS攻击都能被业界知名的“黑洞”(Collapsar)抵挡住，而CC攻击的产生就是为了挑战“黑洞”，故而称之为Challenge Collapsar。攻击者通过代理服务器或者肉鸡向向受害主机不停地发大量数据包，造成对方服务器资源耗尽，一直到宕机崩溃。

CC攻击的原理就是攻击者控制某些主机不停地发大量数据包给对方服务器造成服务器资源耗尽，一直到宕机崩溃。CC主要是用来消耗服务器资源的，每个人都有这样的体验：当一个网页访问的人数特别多的时候，打开网页就慢了，CC就是模拟多个用户(多少线程就是多少用户)不停地进行访问那些需要大量数据操作(就是需要大量CPU时间)的页面，造成服务器资源的浪费，CPU长时间处于100%，永远都有处理不完的连接直至就网络拥塞，正常的访问被中止。

三、Cc攻击的方式

1，耗Cpu资源

黑客用1万台肉鸡，刷新你网站动态页面，如果你程序不够健壮，cpu直接100%

2，耗内存资源

黑客只要刷新你动态页面中搜索数据库的内容，只要搜索量一大，内存占满。网站直接打不开或者是非常卡。

3，耗I/o资源

黑客找到上传文件，或者是下载文件的页面，在不停的上传与下载，磁盘资源点满

4，耗带宽资源

如果你的IDC有流量限制，攻击耗流量，如果流量占满了，服务器直接掉包，掉线。网站一点都打不开。

一般来说，DDoS是针对IP的攻击，而CC攻击的是服务器资源。但网络攻击方式也会多种多样，网络攻击技术在不断变化，防范技术也需要不断更新。

先了解一下，后面学习后再来补充

CC攻击的前身CC攻击的前身是一个名为Fatboy攻击程序，而之所以后来人们会称之为CC，是因为DDoS攻击发展的初期阶段，绝大部分DDoS攻击都能被业界熟知的“黑洞”（Collapsar，一种安全防护产品）所抵挡，CC攻击的诞生就是为了直面挑战黑洞。所以Challenge Collapsar（挑战黑洞）=CC攻击，如此而来。CC攻击的原理是什么？CC攻击算得上是应用层的DDoS，而且是经过TCP握手协议之后，CC的攻击原理很简单，就是模拟多个用户对一些资源消耗较大的页面不断发出请求，从而达到消耗服务器资源的目的，当服务器一直都有处理不完的大量数据请求时，服务器资源浪费过多，就会造成堵塞，而正常用户的访问也会被终止，网站陷入瘫痪状态。CC攻击的类型1.肉鸡攻击一般是黑客使用CC攻击软件，控制大量肉鸡，肉鸡可以模拟正常用户来访问网站，能够伪造合法数据包请求，通过大量肉鸡的合法访问来消耗服务器资源。2.僵尸攻击类似于DDoS攻击，僵尸攻击通常是网络层面的DDoS攻击，Web应用层面无法进行太好的防御。3.代理攻击相对于肉鸡攻击，代理攻击更容易防御，代理攻击是黑客借助代理服务器生成指向受害网站（受害服务器）的合法网页请求，从而实现DOS和伪装。CC攻击常见防御手段1.完善日志要有保留完整日志的习惯，通过日志分析程序，能够尽快判断出异常访问，同时也能收集有用信息，比如发现单一IP的密集访问，特定页面的URL请求激增等等。2.屏蔽IP上面提到的日志就有用了，通过命令或查看日志如果发现CC攻击的源IP，就可以在IIS（Web页面服务组件）、防火墙中设置屏蔽该IP，使该IP没有对Web站点的访问权限，从而达到防御的目的。3.更改Web端口通常情况Web服务器都是通过80端口提供对外服务，所以黑客发起攻击的默认端口也是80端口，那么修改Web端口，可以起到防护CC攻击的目的。4.取消域名绑定黑客发起攻击时，很可能使用攻击工具设定攻击对象为域名，然后实施攻击，取消域名绑定后，可以让CC攻击失去目标，Web服务器的资源占用率也能够迅速恢复正常，因为通过IP还是可以正常访问的，所以对针对IP的CC攻击取消域名绑定是没用的。。

2、黑客为什么选择DDoS

不同于其他恶意篡改数据或劫持类攻击，DDoS简单粗暴，可以达到直接摧毁目标的目的。另外，相对其他攻击手段DDoS的技术要求和发动攻击的成本很低，只需要购买部分服务器权限或控制一批肉鸡即可，而且攻击相应速度很快，攻击效果可视。另一方面，DDoS具有攻击易防守难的特征，服务提供商为了保证正常客户的需求需要耗费大量的资源才能和攻击发起方进行对抗。这些特点使得DDoS成为黑客们手中的一把很好使的利剑，而且所向霹雳。

从另一个方面看，DDoS虽然可以侵蚀带宽或资源，迫使服务中断，但这远远不是黑客的正真目的。所谓没有买卖就没有杀害，DDoS只是黑客手中的一枚核武器，他们的目的要么是敲诈勒索、要么是商业竞争、要么是要表达政治立场。在这种黑色利益的驱使下，越来越多的人参与到这个行业并对攻击手段进行改进升级，致使DDoS在互联网行业愈演愈烈，并成为全球范围内无法攻克的一个顽疾。

3、DDoS的攻击方式

一种服务需要面向大众就需要提供用户访问接口，这些接口恰恰就给了黑客有可乘之机，如：可以利用TCP/IP协议握手缺陷消耗服务端的链接资源，可以利用UDP协议无状态的机制伪造大量的UDP数据包阻塞通信信道……可以说，互联网的世界自诞生之日起就不缺乏被DDoS利用的攻击点，从TCP/IP协议机制到CC、DNS、NTP反射类攻击，更有甚者利用各种应用漏洞发起更高级更精确的攻击。

从DDoS的危害性和攻击行为来看，我们可以将DDoS攻击方式分为以下几类：

a）资源消耗类攻击

资源消耗类是比较典型的DDoS攻击，最具代表性的包括：Syn Flood、Ack Flood、UDPFlood。这类攻击的目标很简单，就是通过大量请求消耗正常的带宽和协议栈处理资源的能力，从而达到服务端无法正常工作的目的。

b）服务消耗性攻击

相比资源消耗类攻击，服务消耗类攻击不需要太大的流量，它主要是针对服务的特点进行精确定点打击，如web的CC，数据服务的检索，文件服务的下载等。这类攻击往往不是为了拥塞流量通道或协议处理通道，它们是让服务端始终处理高消耗型的业务的忙碌状态，进而无法对正常业务进行响应。

c）反射类攻击

反射攻击也叫放大攻击，该类攻击以UDP协议为主，一般请求回应的流量远远大于请求本身流量的大小。攻击者通过流量被放大的特点以较小的流量带宽就可以制造出大规模的流量源，从而对目标发起攻击。反射类攻击严格意义上来说不算是攻击的一种，它只是利用某些服务的业务特征来实现用更小的代价发动Flood攻击。

DDoS攻击打的是网站的服务器，而CC攻击是针对网站的页面攻击的，用术语来说就是，一个是WEB网络层拒绝服务攻击（DDoS），一个是WEB应用层拒绝服务攻击（CC），网络层就是利用肉鸡的流量去攻击目标网站的服务器，针对比较本源的东西去攻击，服务器瘫痪了，那么运行在服务器上的网站肯定也不能正常访问了。而应用层就是我们用户看得到的东西，就比如说网页，CC攻击就是针对网页来攻击的，CC攻击本身是正常请求，网站动态页面的正常请求也会和数据库进行交互的，当这种"正常请求"达到一种程度的时候，服务器就会响应不过来，从而崩溃。

从互联网的兴起，互联网上就没有安宁的日子。近年来，互联网黑客最常用的手段DDoS攻击和CC攻击给许多企业造成了巨大的损失。调查结果显示，DDoS和CC攻击造成的平均损失从企业规模的5万2000美元到44万4000美元不等。对于许多企业来说，这种损失不仅会严重影响他们的财务状况，而且会造成他们的声誉受损，因为合作伙伴和客户无法访问在线资源。

因此，DDoS攻击和CC攻击造成的总体损失包括许多问题。例如，61%的DDoS攻击受害者暂时无法访问关键业务信息，其中38%无法扩展核心业务，其中33%失去了业务机会。此外，29%的DDoS攻击对企业的声誉产生负面影响，26%的攻击促使企业增加了保险投资。那么，这两者有什么区别呢？

DDoS和cc之间最明显的区别在于它们的攻击类型不同，但是CC攻击和DDoS攻击属于同一类型，因为它们的设计思想是相同的。CC攻击的诞生是使用TCP/IP协议。让我们开始讨论他们的原则。

首先，谈谈DDoS攻击，DDoS攻击也被称为“分布式攻击”，它使用非法数据淹没网络链接，这些数据可能超过互联网链接，导致合法数据流被丢弃，DDoS攻击比老的DOS（拒绝服务）更可怕，大小伟大的，他们通常是电脑甚至数万或更多的计算机试图掩盖攻击的目标上，目标机进入麻痹状态1分钟后，收到了这么多的包，即使它是一个巨大的机器的速度，这是不可能实现的是数千或上千台机器数以万计的攻击同一现象。洪水袭击就是这样的攻击。

这里补充两点：第一是DDoS攻击不仅可以攻击计算机，可以攻击路由器，因为路由器是一种特殊类型的计算机；二是速度决定攻击的好与快，例如，如果你是一个限制环境的速度，他们的攻击效果不明显，但比速度更快的是更多的攻击作用下。

那么CC攻击呢？CC攻击它的隐蔽性很强，无论是IP还是它的流量，隐藏的都很高，它是主页中主要攻击类型的原理（后者也可以添加代理攻击），攻击用户对论坛的这个特性，像模拟攻击。

通过以上叙述，我们可以看出他们之间的差异只是不同的类型。相比之下，CC攻击是更主流的攻击。cc攻击主要是网页攻击，而DDoS攻击则向目标发送大量包，导致目标机器瘫痪。

最简单的句子可以用最简单的句子来概括：DDoS攻击和cc攻击主要是针对Web应用程序更耗费资源的野蛮请求。

一.什么是CC攻击？

1.其前身是一个名为Fatboy的攻击程序，而之所以后来人们会称之为CC，是因为DDoS攻击发展的初期阶段，绝大部分DDoS攻击都能被业界熟知的“黑洞”（Collapsar，一种安全防护产品）所抵挡，CC攻击的诞生就是为了直面挑战黑洞。所以Challenge Collapsar（挑战黑洞）=CC攻击，如此而来。

2.是针对Web服务在 OSI 协议第七层协议发起的攻击，攻击者极力模仿正常用户的网页请求行为，发起方便、过滤困难，极其容易造成目标服务器资源耗尽无法提供服务。

二.CC攻击的原理

CC攻击算得上是应用层的DDoS，而且是经过TCP握手协议之后，CC的攻击原理很简单，就是模拟多个用户对一些资源消耗较大的页面不断发出请求，从而达到消耗服务器资源的目的，当服务器一直都有处理不完的大量数据请求时，服务器资源浪费过多，就会造成堵塞，而正常用户的访问也会被终止，网站陷入瘫痪状态。

三.CC攻击的种类

1.肉鸡攻击

一般是黑客使用CC攻击软件，控制大量肉鸡，肉鸡可以模拟正常用户来访问网站，能够伪造合法数据包请求，通过大量肉鸡的合法访问来消耗服务器资源。

2.僵尸攻击

类似于DDoS攻击，僵尸攻击通常是网络层面的DDoS攻击，Web应用层面无法进行太好的防御。

3.代理攻击

相对于肉鸡攻击，代理攻击更容易防御，代理攻击是黑客借助代理服务器生成指向受害网站（受害服务器）的合法网页请求，从而实现DOS和伪装。

四.CC攻击常见防御手段

1.完善日志

要有保留完整日志的习惯，通过日志分析程序，能够尽快判断出异常访问，同时也能收集有用信息，比如发现单一IP的密集访问，特定页面的URL请求激增等等。

2.屏蔽IP

通过命令或查看日志如果发现CC攻击的源IP，就可以在IIS（Web页面服务组件）、防火墙中设置屏蔽该IP，使该IP没有对Web站点的访问权限，从而达到防御的目的。

3.更改Web端口

通常情况Web服务器都是通过80端口提供对外服务，所以黑客发起攻击的默认端口也是80端口，那么修改Web端口，可以起到防护CC攻击的目的。

4.取消域名绑定

黑客发起攻击时，很可能使用攻击工具设定攻击对象为域名，然后实施攻击，取消域名绑定后，可以让CC攻击失去目标，Web服务器的资源占用率也能够迅速恢复正常，因为通过IP还是可以正常访问的，所以对针对IP的CC攻击取消域名绑定是没用的。

5.网站程序防御

利用网站程序限制IP访问频率，并对程序进行优化进少，生成纯静态页，减少动态情况，可一定程度上减少CC攻击的压力。

6.云防火墙

如高防CDN、高防IP，高防CDN会对CC攻击访问进行拦截，对正常访客放行，同时利用边缘节点缓存网站资源，适用于网站被大量CC攻击防御；高防IP则是DDOS防火墙，利用高带宽、高硬防的特点，对CC攻击进行识别拦截，如正常用户就放行，也适用于被大量CC攻击防御

「德迅云安全」提供高防服务器_WEB应用防火墙_DDoS高防IP_游戏盾_安全加速CDN​www.dexunyun.com/scdn

CC攻击的前身

CC攻击的前身是一个名为Fatboy的攻击程序，而之所以后来人们会称之为CC，是因为DDoS攻击发展的初期阶段，绝大部分DDoS攻击都能被业界熟知的“黑洞”（Collapsar，一种安全防护产品）所抵挡，CC攻击的诞生就是为了直面挑战黑洞。所以Challenge Collapsar（挑战黑洞）=CC攻击，如此而来。

CC攻击的原理是什么？

CC攻击算得上是应用层的DDoS，而且是经过TCP握手协议之后，CC的攻击原理很简单，就是模拟多个用户对一些资源消耗较大的页面不断发出请求，从而达到消耗服务器资源的目的，当服务器一直都有处理不完的大量数据请求时，服务器资源浪费过多，就会造成堵塞，而正常用户的访问也会被终止，业务陷入瘫痪状态。

CC攻击的类型

1.肉鸡攻击

一般是黑客使用CC攻击软件，控制大量肉鸡，肉鸡可以模拟正常用户来访问网站，能够伪造合法数据包请求，通过大量肉鸡的合法访问来消耗服务器资源。

2.僵尸攻击

类似于DDoS攻击，僵尸攻击通常是网络层面的DDoS攻击，Web应用层面无法进行太好的防御。

3.代理攻击

相对于肉鸡攻击，代理攻击更容易防御，代理攻击是黑客借助代理服务器生成指向受害网站（受害服务器）的合法网页请求，从而实现DOS和伪装。

CC攻击常见防御手段

1.完善日志

要有保留完整日志的习惯，通过日志分析程序，能够尽快判断出异常访问，同时也能收集有用信息，比如发现单一IP的密集访问，特定页面的URL请求激增等等。

2.屏蔽IP

上面提到的日志就有用了，通过命令或查看日志如果发现CC攻击的源IP，就可以在IIS（Web页面服务组件）、防火墙中设置屏蔽该IP，使该IP没有对Web站点的访问权限，从而达到防御的目的。

3.使用高防服务器

高防服务器都是有专门的防CC防火墙架构的，可以根据不同的CC攻击调整专门的CC防护策略来拦截攻击。

4.安装软防

可以在服务器里面安装软件防火墙，如冰盾，金盾等等防CC软件防火墙。

总的来说，CC攻击的门槛很低，成本也不高，所以业务被恶意攻击的情况屡见不鲜。

DDOS和CC攻击的区别：

1，攻击简介

DDOS：分布式拒绝服务攻击，通过向目标发送大量数据包，耗尽其带宽，来使目标无法可用。

CC攻击：DDOS的一种，也可以理解为应用层DDOS攻击，利用大量代理服务器对目标计算机发起大量连接，导致目标服务器资源枯竭造成拒绝服务。

2，攻击方式：

两者主要攻击方式分为三种：直接攻击，代理攻击和僵尸网络攻击

3，DDOS和CC攻击的不同：

1，CC攻击（流量不大，真实IP）

通常是应用层攻击，攻击对象是网页，涉及的协议主要是HTTP，HTTPS，消耗的是服务器的CPU资源（通过请求大量调用CPU的资源，例如查询数据库）

2，DDOS攻击（流量很大，伪造IP）

通常是网络层和传输层，攻击对象是IP，涉及协议主要是IP，UDP和TCP，通常消耗的是网络带宽

4，DDOS测试工具：

1， 卢瓦(LOIC) (Low Orbit Ion Canon)：LOTC是一个最受欢迎的DOS攻击工具。 这个工具被去年流行的黑客集团匿名者用于对许多大公司的网络攻击。它可以通过使用单个用户执行DOS攻击小型服务器，工具非常易于使用，即便你是一个初学者。 这个工具执行DOS攻击通过发送UDP,TCP或HTTP请求到受害者服务器。 你只需要知道服务器的IP地址或URL，其他的就交给这个工具吧。

2，XOIC：XOIC是另一个不错的DOS攻击工具。它根据用户选择的端口与协议执行DOS攻击任何服务器。XOIC开发者还声称XOIC比上面的LOIC在很多方面更强大呢。

3，R-U-Dead-Yet：R-U-Dead-Yet是一个HTTP post DOS攻击工具。它执行一个DOS攻击长表单字段，通过POST方法提交。这个工具提供了一个交互式控制台菜单，检测给定的URL,并允许用户选择哪些表格和字段应用于POST-based DOS攻击。

4，OWASP DOS HTTP POST：这是另外一个很好的工具。您可以使用这个工具来检查您的web服务器能否够捍卫得住别人的DOS攻击。当然，不仅对防御，它也可以用来执行DOS攻击哦。

5，DAVOSET：DAVOSET是另一个很好的执行DDOS攻击工具。 最新版本的工具新增支持cookie以及许多其他功能。

简单的说，cc攻击主要是对网站，ddos攻击主要是针对IP

你可以认为ddos是洪水，cc是精准攻击你的web服务。cc可能会让你cpu100%，还有让你的服务器挂了，但是还能远程，ddos是直接给你断网。国内性价比比较高价格又还好的防ddos就是猎报了。

DDOS攻击和CC攻击有什么区别？

攻击对象不同：DDOS是针对IP的攻击；CC攻击针对的是网页。危害不同：DDOS攻击危害性较大，更难防御;CC攻击的危害不是毁灭性的，但是持续时间长。门槛不同：DDOS攻击门槛高，攻击者一般需要在攻击前搜集被攻击目标主机数目、地址情况、目标主机的配置性能等资料，盲目攻击可能导致效果不佳;CC攻击门槛低，利用更换IP代理工具即可实施攻击，且目标比较明确，黑客水平比较低的用户也能进行。流量大小不同：DDOS攻击比CC攻击所需要流量更大，且CC攻击有时不需要很大的流量

我们为何不下载安全最先进的安全检测与运维监控的旗语安全到用户端，做到从源头切断。自启用时算起，旗语就能够后台收集保存设备的安全日志，这么一来，就算你的IP地址受到病毒入侵、外部攻击你只需要打开旗语，导出安全检测报告就可以快速发现以上威月办，然后采取紧急措施规避产值中断，以达到企业持续高速运转。

市面上，运维产品各有其长，每个公司也各有所爱。如何知道旗语是不是你心中完美的运维工具能？我想市面上其他的运维产品可能就是灰姑凉的水晶鞋，一定要找到合适的ta才能用得得心应手。而旗语就像是一双平平无奇的回力帆布鞋，穿上它你不一定能成为人群中万众瞩目的那个，但一定会是走得最稳最踏实的那个。所以，下载旗语你一定会被它全面的功能给深深吸引的。

https://waf.secadd.com/

DDoS攻击和CC攻击有什么区别？

近几年，网络恶意攻击逐渐增多，很多网站饱受困扰，而其中最为常见的恶意攻击就是CC以及DDoS攻击。对于一些防御能力较弱的网站来说，一旦遭遇这些攻击，轻则网站瘫痪，重则直接影响生存。那么DDoS攻击和CC攻击区别在哪里？谁的威力比较大？下面来简单介绍一下。

DDoS攻击

DDoS攻击（分布式拒绝服务攻击）指借助于客户/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DDoS攻击，从而成倍地提高拒绝服务攻击的威力。

DDoS的攻击方式有很多种，最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务的响应。单一的DoS攻击一般是采用一对一方式的，当攻击目标CPU速度低、内存小或者网络带宽小等等各项指标不高的性能，它的效果是明显的。分布式的拒绝服务攻击手段（DDoS）就应运而生了。DDoS就是利用更多的傀儡机（肉鸡）来发起进攻，以比从前更大的规模来进攻受害者。

CC攻击

CC攻击是DDoS攻击的其中一种，是目前应用层攻击的主要手段之一，相比其它的DDoS攻击CC似乎更有技术含量一些。CC攻击借助代理服务器生成指向目标系统的合法请求，实现伪装和DDoS。我们都有这样的体验，访问一个静态页面，即使人多也不需要太长时间，但如果在高峰期访问论坛、贴吧等，那就很慢了，因为服务器系统需要到数据库中判断访问者否有读帖、发言等权限。访问的人越多，论坛的页面越多，数据库压力就越大，被访问的频率也越高，占用的系统资源也就相当可观。

CC攻击就充分利用了这个特点，模拟多个正常用户不停地访问如论坛这些需要大量数据操作的页面，造成服务器资源的浪费，CPU长时间处于100%，永远都有处理不完的请求，网络拥塞，正常访问被中止。这种攻击技术性含量高，见不到真实源IP，见不到特别大的异常流量，但服务器就是无法进行正常连接。

虽然DDoS攻击和CC攻击的诞生都是利用了TCP/IP 协议的缺陷，但他们还是有一定区别的。

1、攻击对象不同

DDoS是针对IP的攻击；

CC攻击针对的是网页。

2、危害不同

DDoS攻击危害性较大，更难防御；

CC攻击的危害不是毁灭性的，但是持续时间长。

3、门槛不同

DDoS攻击门槛高，攻击者一般需要在攻击前搜集被攻击目标主机数目、地址情况、目标主机的配置性能等资料，盲目攻击可能导致效果不佳；

CC攻击门槛低，利用更换IP代理工具即可实施攻击，且目标比较明确，黑客水平比较低的用户也能进行。

4、流量大小不同

DDoS攻击比CC攻击所需要流量更大；

CC攻击有时不需要很大的流量。

如何防御DDoS攻击和CC攻击？

针对DDoS攻击和CC攻击高发的情况下，如何才能采取有效手段进行防御呢？

确保服务器系统安全

确保服务器的系统文件并及时更新系统补丁；

管理员需对所有主机进行检查，知道访问者的来源；

关闭不必要的服务：在服务器上删除未使用的服务，关闭未使用的端口；

限制同时打开的SYN半连接数目，缩短SYN半连接的time out 时间，限制SYN/ICMP流量；

正确设置防火墙，在防火墙上运行端口映射程序或端口扫描程序；

认真检查网络设备和主机/服务器系统的日志。

只要日志出现漏洞或是时间变更，那这台机器就可能遭到了攻击；

限制在防火墙外与网络文件共享，这样会给黑客截取系统文件的机会，若黑客以特洛伊木马替换它，文件传输功能无疑会陷入瘫痪；

充分利用网络设备保护网络资源。

隐藏服务器的真实IP地址

服务器防御DDOS攻击最根本的措施就是隐藏服务器真实IP地址。在资金充足的情况下，可以选择高防服务器，且在服务器前端加CDN中转，所有的域名和子域都使用CDN来解析。

高防服务器

禁止网站代理访问，尽量将网站做成静态页面，限制连接数量，访问频率控制，来源限制，客户端IE验证等一系 列策略规则 以及组合策略拦截。

HTTP 中文名称为超文本传输协议，常被用于 Web 服务请求和响应数据的传输。常见的 HTTP 请求有 GET 请求和 POST 请求两种。通常，GET 请求用于从 Web 服务器获取数据和资源，例如请求页面、获取图片和文档等；

POST 请求用于向 Web 服务器提交数据和资源，例如发送用户名/密码、上传文件等。在处理这些 HTTP 请求的过程中，Web 服务器通常需要解析请求、处理和执行服务端脚本、验证用户权限并多次访问数据库，这会消耗大量的计算资源和 IO 访问资源。

CC攻击原理

HTTP Flood 俗称CC攻击（Challenge Collapsar）是DDOS（分布式拒绝服务）的一种，前身名为Fatboy攻击，也是一种常见的网站攻击方法。是针对 Web 服务在第七层协议发起的攻击。攻击者相较其他三层和四层，并不需要控制大量的肉鸡，取而代之的是通过端口扫描程序在互联网上寻找匿名的 HTTP 代理或者 SOCKS 代理，攻击者通过匿名代理对攻击目标发起HTTP 请求。匿名代理服务器在互联网上广泛存在。因此攻击容易发起而且可以保持长期高强度的持续攻击，同样可以隐藏攻击者来源避免被追查。

HTTP/CC 攻击的特点：

HTTP/CC 攻击的 ip 都是真实的，分散的

HTTP/CC 攻击的数据包都是正常的数据包

HTTP/CC 攻击的请求都是有效请求，且无法拒绝

HTTP/CC 攻击的是网页，服务器可以连接，ping 也没问题，但是网页就是访问不了

如果 IIS 一开，服务器很快就死，容易丢包。

那如何造成更大的杀伤呢。Web 服务与 DNS 服务类似，也存在缓存机制。如果攻击者的大量请求命中了服务器缓存，那么这种攻击的主要作用仅体现在消耗网络带宽资源上，对于计算和 IO 资源的消耗是非常有限的。因此，高效的 HTTP/CC 攻击 应不断发出针对不同资源和页面的 HTTP 请求，并尽可能请求无法被缓存的资源（ 如关键词搜索结果、用户相关资料等 ），这样才能更好的加重服务器的负担，达到理想的攻击效果。当然 HTTP/CC 攻击 也会引起严重的连锁反应，不仅仅是直接导致被攻击的 Web 前端响应缓慢，还间接攻击到后端的 Java 等业务层逻辑以及更后端的数据库服务，增大它们的压力，HTTP/CC 攻击 产生的海量日志数据甚至会对日志存储服务器都带来影响。

如果 Web 服务器支持 HTTPS，那么进行 HTTPS 洪水攻击是更为有效的一种攻击方式。原因有二：

其一，在进行 HTTPS 通信时，Web 服务器需要消耗更多的资源用来认证和加解密。

其二，目前一部分防护设备无法对 HTTPS 通信数据流进行处理，会导致攻击流量绕过防护设备，直接对 Web 服务器造成攻击。

CC攻击防御

攻击靠演技，防护当然是靠火眼精睛叻。

防御思路

HTTP/CC 攻击 防御主要通过缓存的方式进行，尽量由设备的缓存直接返回结果来保护后端业务。当高级攻击者穿透缓存时，清洗设备会截获 HTTP 请求做特殊处理。因为CC攻击通过工具软件发起，而普通用户通过浏览器访问，这其中就会有某些区别。想办法对这二者作出判断，选择性的屏蔽来自机器的流量即可。

初级

普通浏览器发起请求时，除了要访问的地址以外，Http头中还会带有Referer，UserAgent等多项信息。遇到攻击时可以通过日志查看访问信息，看攻击的流量是否有明显特征，比如固定的Referer或UserAgent，如果能找到特征，就可以直接屏蔽掉了。

中级

如果攻击者伪造了Referer和UserAgent等信息，那就需要从其他地方入手。攻击软件一般来说功能都比较简单，只有固定的发包功能，而浏览器会完整的支持Http协议，我们可以利用这一点来进行防御。

首先为每个访问者定义一个字符串，保存在Cookies中作为Token，必须要带有正确的Token才可以访问后端服务。当用户第一次访问时，会检测到用户的Cookies里面并没有这个Token，则返回一个302重定向，目标地址为当前页面，同时在返回的Http头中加入set cookies字段，对Cookies进行设置，使用户带有这个Token。

客户端如果是一个正常的浏览器，那么就会支持http头中的set cookie和302重定向指令，将带上正确的Token再次访问页面，这时候后台检测到正确的Token，就会放行，这之后用户的Http请求都会带有这个Token，所以并不会受到阻拦。

客户端如果是CC软件，那么一般不会支持这些指令，那么就会一直被拦在最外层，并不会对服务器内部造成压力。

高级

高级一点的，还可以返回一个网页，在页面中嵌入JavaScript来设置Cookies并跳转，这样被伪造请求的可能性更小

Token生成算法：Token需要满足以下几点要求

每个IP地址的Token不同

无法伪造

一致性，即对相同的客户端，每次生成的Token相同

Token随IP地址变化是为了防止通过一台机器获取Token之后，再通过代理服务区进行攻击。一致性则是为了避免在服务器端需要存储已经生成的Token。

推荐使用以下算法生成Token，其中Key为服务器独有的保密字符串，这个算法生成的Token可以满足以上这些要求：

Token = Hash( UserAgent + client_ip + key )

总结：

早期的方法是对源 IP 的 HTTP 请求频率设定阈值，高于既定阈值的 IP 地址加入黑名单。这种方法过于简单，容易带来误杀，并且无法屏蔽来自代理服务器的攻击，因此逐渐废止，取而代之的是基于 JavaScript 跳转的人机识别方案。

HTTP Flood 是由程序模拟 HTTP 请求，一般来说不会解析服务端返回数据，更不会解析 JS之类代码。因此当清洗设备截获? HTTP 请求时，返回一段特殊 JavaScript 代码，正常用户的浏览器会处理并正常跳转不影响使用，而攻击程序会攻击到空处。 由于 HTTP/CC 攻击 的伪装方式千变万化，很少有策略或者硬件防护能做到完美清洗，所以，针对 HTTP/CC 攻击，我们大多时候需要具备一定技术的网络维护人员进行见招拆招。

简易CC攻击防御方法

1. 利用Session做访问计数器：

利用Session针对每个IP做页面访问计数器或文件下载计数器，防止用户对某个页面频繁刷新导致数据库频繁读取或频繁下载某个文件而产生大额流量。（文件下载不要直接使用下载地址，才能在服务端代码中做CC攻击的过滤处理）

2. 把网站做成静态页面：

大量事实证明，把网站尽可能做成静态页面，不仅能大大提高抗攻击能力，而且还给骇客入侵带来不少麻烦，至少到现在为止关于HTML的溢出还没出现，看看吧！新浪、搜狐、网易等门户网站主要都是静态页面，若你非需要动态脚本调用，那就把它弄到另外一台单独主机去，免的遭受攻击时连累主服务器。

3. 增强操作系统的TCP/IP栈

Win2000和Win2003作为服务器操作系统，本身就具备一定的抵抗DDOS攻击的能力，只是默认状态下没有开启而已，若开启的话可抵挡约10000个SYN攻击包，若没有开启则仅能抵御数百个，具体怎么开启，自己去看微软的文章吧！《强化 TCP/IP 堆栈安全》。也许有的人会问，那我用的是Linux和FreeBSD怎么办？很简单，按照这篇文章去做吧！《SYN Cookies》。

4. 在存在多站的服务器上，严格限制每一个站允许的IP连接数和CPU使用时间

这是一个很有效的方法。CC的防御要从代码做起，其实一个好的页面代码都应该注意这些东西，还有SQL注入，不光是一个入侵工具，更是一个DDOS缺口，大家都应该在代码中注意。举个例子吧，某服务器，开动了5000线的CC攻击，没有一点反应，因为它所有的访问数据库请求都必须一个随机参数在Session里面，全是静态页面，没有效果。突然发现它有一个请求会和外面的服务器联系获得，需要较长的时间，而且没有什么认证，开800线攻击，服务器马上满负荷了。代码层的防御需要从点点滴滴做起，一个脚本代码的错误，可能带来的是整个站的影响，甚至是整个服务器的影响!

5. 服务器前端加CDN中转

(免费的有百度云加速、360网站卫士、加速乐、安全宝等)，如果资金充裕的话，可以购买高防的盾机，用于隐藏服务器真实IP，域名解析使用CDN的IP，所有解析的子域名都使用CDN的IP地址。此外，服务器上部署的其他域名也不能使用真实IP解析，全部都使用CDN来解析。

另外，防止服务器对外传送信息泄漏IP地址，最常见的情况是，服务器不要使用发送邮件功能，因为邮件头会泄漏服务器的IP地址。如果非要发送邮件，可以通过第三方代理(例如sendcloud)发送，这样对外显示的IP是代理的IP地址。

总之，只要服务器的真实IP不泄露，10G以下小流量DDOS的预防花不了多少钱，免费的CDN就可以应付得了。如果攻击流量超过20G，那么免费的CDN可能就顶不住了，需要购买一个高防的盾机来应付了，而服务器的真实IP同样需要隐藏

简易CC攻击防御策略

确定Web服务器正在或者曾经遭受CC攻击，那如何进行有效的防范呢?

(1).取消域名绑定

　　一般cc攻击都是针对网站的域名进行攻击，比如我们的网站域名是“www.abc.com”，那么攻击者就在攻击工具中设定攻击对象为该域名然后实施攻击。 对于这样的攻击我们的措施是取消这个域名的绑定，让CC攻击失去目标。

(2).域名欺骗解析

　　如果发现针对域名的CC攻击，我们可以把被攻击的域名解析到127.0.0.1这个地址上。我们知道127.0.0.1是本地回环IP是用来进行网络测试的，如果把被攻击的域名解析到这个IP上，就可以实现攻击者自己攻击自己的目的，这样他再多的肉鸡或者代理也会宕机，让其自作自受。

(3).更改Web端口

　　一般情况下Web服务器通过80端口对外提供服务，因此攻击者实施攻击就以默认的80端口进行攻击，所以，我们可以修改Web端口达到防CC攻击的目的。运行IIS管理器，定位到相应站点，打开站点“属性”面板，在“网站标识”下有个TCP端口默认为80，我们修改为其他的端口就可以了。

(4).屏蔽IP

　　我们通过命令或在查看日志发现了CC攻击的源IP，就可以在防火墙中设置屏蔽该IP对Web站点的访问，从而达到防范攻击的目的

拒绝服务攻击（DOS/DDOS）是近年来愈演愈烈的一种攻击手段，其主要目的是造成目标主机的TCP/IP协议层拥塞、或者导致应用层异常终止而形成拒绝服务的现象。目前，DOS/DDOS攻击方式主要有以下几种：

a) 利用TCP/IP协议的漏洞，消耗目标主机的系统资源，使其过度负载。此种攻击也是目前很普遍存在的一种攻击形式，攻击者动辄发起几十兆甚至上百兆的攻击流量，造成目标的彻底瘫痪。常见的有SYN Flood，UDP Flood，ICMP Flood等等；

b) 利用某些基于TCP/IP协议的软件漏洞，造成应用异常。此种攻击比较单一，通常是针对某个软件特定版本的攻击，影响范围较小，且具有时限性。但通常此种攻击较难防御，漏洞查找较困难；

c) 不断尝试，频繁连接的野蛮型攻击。此种攻击早期危害有限，但随着代理型攻击的加入，已渐有成为主流之势。常见的有WEB Stress，CC Proxy Flood等。

随着网络上各种业务的普遍展开，DOS/DDOS攻击所带来的损失也愈益严重。当前运营商、企业及政府机构等各种用户时刻都面临着被攻击的威胁，而可预期的更加强大的攻击工具也会成批出现，此种攻击只会数量更多、破坏力更强大，更加难以防御。

正是DOS/DDOS攻击难于防御，危害严重，所以如何有效的应对DOS攻击就成为对网络安全工作者的严峻挑战。传统网络设备或者边界安全设备，诸如防火墙、入侵检测系统，作为整体安全策略中不可缺少的重要模块，都不能有效的提供针对DOS攻击完善的防御能力。因此必须采用专门的机制，对攻击进行检测、防护、进而遏制这类不断增长的、复杂的且极具隐蔽性的攻击行为。

还在担心CC攻击? 让我们来了解它, 并尽可能将其拒之服务之外.

CC攻击是什么?

基本原理

CC原名为ChallengeCollapsar, 这种攻击通常是攻击者通过大量的代理机或者肉鸡给目标服务器发送大量貌似合法的请求, 使目标服务器耗尽计算力(也就是cpu飙升100%), 从而达到拒绝服务的目的.

危害在哪

由于系统待处理的数据队列被无限的加长, 而客户端在有效的请求的时间内又得不到响应, 从而以为是网络波动进行相应的重试, 就比如系统每秒能处理1,000QPS, 而现在待处理的队列已经达到了30,000QPS, 也就是系统现在有空闲运转30秒才能处理完队列中的所有请求, 而客户也是至少需要30秒才能得到响应, 原来(1秒内)就可以, 他在等待了10秒后就会重试, 从而进一步加重了系统的负担, 从而使系统瘫痪. 而目标的服务器, 当队列越来越大, 目标计算机的内存耗尽, 会进一步引发程序的崩溃.

举个栗子

一家餐厅, 对外进行服务, 有一百张位置, 如果正常情况下, 每个人平均的点餐加用餐时间15分钟, 这家餐厅15分钟内可以服务100个人(类似QPS), 现在对你搞破坏的人雇佣了100个人来排在你正常的队伍后面, 他们进入餐厅后, 用磨磨蹭蹭的速度找座位(慢速攻击), 然后又叫服务员擦桌子, 然后又假装向服务员点餐, 然后点完餐后又假装有事不吃了(刷空单, 现实中可能只来一次, 而服务器中这过程可能重复N次, 从而占用了大量的资源), 这过程耗时10分钟, 也就是正常吃饭的人, 至少要10分钟后才能进入到餐厅, 可能还会叫不到服务员, 即正常的客户也无法完成用餐服务, 至此这家餐厅在有效期内成功服务个位数的实际客户, 搞破坏的人达成了目标.

如何防御

因为CC是攻击者模拟正常的用户请求来达到攻击的目标, 从单个url的角度来看的话, 他们都是合法的请求, 而从全局的角度来看, 这些攻击者耗废了大量的服务器带宽, CPU且不会产生任何收益. 而攻击者通常用一定的规格来重复流量的攻击, 也就是我们看的到的特征.由于国内的云不能禁用udp, 无法有效的防御DDOS的攻击, 基本上而目前小企业的比较通用的防御结构高防机(也就是机房, 成本在2000-5000左右, 能防100G, 能禁UDP, 能禁海外), 而且通常会选择多机房来做备份防止机房网络波动, 所有直接面向用户的机子通常是多台的, 也需要把用户的请求汇总分析才有意义, 单一机子分析无法得出准确的特征码 比如攻击者使用单一的攻击请求 一直重复的发送, 而正常的用户请求完user数据之后就会转入其它的请求, 这攻击者仅仅请求了/api/user, 且次数在短时间达到了几百次, 我们就基本上可以断定这IP为非法的用户, 我们可以对该IP进行封禁处理

洛甲WAF, 它能做什么

洛甲WAF是基于openresty的web防火墙，它由多个或者单个节点服务器和中控服务器组成, 它将节点的数据请求汇总到中控服务器做统一的分析, 从而可以自动的识别出哪些用户是非法IP, 从而实行自动封禁, 基本上能保证90%以上的CC攻击自动拦截, 保证服务器的有效正常的运转.

除了防CC, 他还能做什么

可在后台配置限制访问频率,URI访问频率可后台封禁IP,记录IP访问列表对指定HOST限制流入流出流量或者对全局限制可统计服务端错误内容500错误等可查看请求耗时列表, 服务器内部负载情况可在后台配置负载均衡, 添加域名转发, 无需重启服务器可在后台配置SSL证书, 无需重启服务器对黑名单的用户,如果频繁访问,则防火墙对IP封禁对GET或者POST参数进行检查, 防止SQL注入对指定时间, 或者指定星期进行限制, 防止高峰期流量过载

应用截图

主页

配置

负载均衡

SSL证书

相关链接

节点服务器 luojiawaf_lua(nginx+lua) 中控服务器前端 luajiawaf_web(ant.design) 中控服务器后端 luajiawaf_server(django)

互联网企业经常会遭到网络攻击，其中最常见的攻击方式就是CC攻击和DDoS攻击这两种，很多互联网企业服务器遭到攻击后接入我们墨者盾防御时会问，什么是CC攻击，什么又是DDoS攻击，这两者攻击原理是什么，两者的区别又是什么？其实清楚它们的攻击原理，也就知道它们的区别了。下边墨者安全首席安全顾问“孤之剑”简单说说这两者的工作原理：

CC攻击：

CC的前世是一个攻击程序，叫做fatboy，这是黑客为了挑战一款防DDoS设备开发的，它应该算是一个应用层的DDoS，是发生在TCP 3次握手完成之后，它发送的ip其实都是真的。但是应用层的DDoS比网络层的DDoS更厉害，而且现在的大部分商业anti-DDOS设备，在防御网络层的DDoS的效果较好，应对应用层的DDoS攻击目前是还没有有效的手段。其实CC的攻击原理也比较简单，就是对一些那些比较耗费资源应用页面不停的发出请求，从而达到消耗服务器资源的目的，在web应用中，查询数据库，读写硬盘文件的等操作都是比较消耗资源的。

DDOS攻击：

DDoS的攻击原理是：利用网络过载进行干扰或是阻碍正常的网络通讯，然后向服务器申请大量的请求，导致服务器超负荷运行。从而达到阻断正常数据请求，也就是阻碍正常访客对服务器发出的正常请求。几种比较常见的DDoS攻击有ICMP flood，SYN flood，UDP flood，而SYN flood又是最常见的攻击方式，它是利用TCP协议设计中的缺陷（3次握手）进行的，在它攻击的时候会制造很多的伪ip源地址，然后向服务器发送大量的SYN包，之后服务器会返回ACK/SYN包，但是IP是伪造的，所以服务器是不会受到应答的，会重试3-5次，并且等待一个SYN time（一般是39秒到2分钟），如果超时则丢弃这个连接。

攻击者发送大量的这种伪造源地址的SYN请求，服务端会消耗很多的资源（CPU和内存）来处理这种半连接，同时还要对这些请求进行SYN/ACK重试，最后的结果就是服务器无暇理睬正常的连接请求，导致拒绝服务。这就是DDoS的攻击原理。

这两者的主要区别在于：CC攻击模拟用户对一些比较消耗资源的网页进行攻击，而DDoS攻击则是针对ip进行攻击，两者的攻击方式虽然不一样，但造成的后果都是导致正常用户无法访问。如果服务器没有做好防御措施，遭到很小的攻击就会被服务器运营商“黑洞”，多次攻击“黑洞”时间就会越来越长，用户大量流失。

下半年是网络攻击的“高发期”，而发起DDoS攻击的成本越来越低，技术难度也不高。墨者安全资深安全专家“安大师”建议互联网企业提高自身网络安全意识，提前做好安全防护措施，保证服务器稳定运行，避免因CC攻击和DDoS攻击给企业造成经济损失。

DDOS攻击：纯流量攻击，通过使网络过载来干扰甚至阻断正常的网络通讯。通过向服务器提交大量请求，使服务器超负荷。阻断某一用户访问服务器阻断某服务与特定系统或个人的通讯；

CC攻击：CC攻击的原理就是攻击者控制某些主机不停地发大量数据包给对方服务器造成服务器资源耗尽，一直到宕机崩溃。CC主要是用来攻击页面的，每个人都有这样的体验：当一个网页访问的人数特别多的时候，打开网页就慢了，CC就是模拟多个用户(多少线程就是多少用户)不停地进行访问那些需要大量数据操作(就是需要大量CPU时间)的页面，造成服务器资源的浪费，CPU长时间处于100%，永远都有处理不完的连接直至就网络拥塞，正常的访问被中止；